Política de Privacidade

Em vigor desde: 2026-12-01

A Candelina é um app de aniversários para iPhone. Ela foi feita para que as pessoas de quem você gosta fiquem no seu iPhone e — quando você está conectado ao iCloud — na sua própria conta do iCloud, e em nenhum outro lugar. Esta política explica, em linguagem simples, exatamente o que o app faz com os dados. Se algo aqui não estiver claro, escreva para a gente — o endereço está no final.

Resumindo

• A Candelina não tem conta. Você nunca cria uma, e a gente nunca vê nenhum login.
• Suas pessoas, datas, anotações e histórico ficam no seu aparelho e, se você usa iCloud, no seu banco de dados privado do iCloud. A gente não consegue ler nada disso.
• Os rascunhos com IA ficam desligados até você autorizar explicitamente. Quando estão ligados, um conjunto pequeno e específico de campos é enviado à Anthropic para escrever o rascunho — nunca a sua lista de contatos.
• A gente não vende dados, não exibe anúncios e não rastreia você por outros apps e sites. A Candelina não pede permissão de rastreamento porque não rastreia.

Dados que nunca saem do seu aparelho

O núcleo do app é local. O que está abaixo fica guardado no seu iPhone e, quando você está conectado ao iCloud, na sua própria conta do iCloud (o banco de dados privado CloudKit da Apple), criptografado e vinculado à sua Apple Account:

• Nomes, apelidos e fotos das pessoas que você adiciona.
• Aniversários e outras datas anuais, e o plano de lembretes de cada uma.
• Suas anotações, ideias de presente, o registro de presentes e o histórico das mensagens que você enviou.
• Seu próprio nome e sua data de nascimento, se você preencher.
• Ajustes do app, como o dia e a hora do resumo e os idiomas que você escolhe.

Apagar o app remove a cópia local. Para tirar também a cópia do iCloud, use os ajustes dentro do app antes de apagá-lo, ou exclua os dados da Candelina nos seus ajustes do iCloud.

Importar aniversários

A Candelina consegue ler aniversários das fontes que você escolher. Em todos os casos a leitura acontece no seu aparelho, e só os aniversários que você confirma são salvos no app.

Contatos e Calendário são lidos pelas permissões do sistema da Apple; dá para escolher pessoas específicas em vez de liberar acesso total. Os arquivos que você importa (um CSV do Google Contacts, uma conversa do WhatsApp exportada, um arquivo de calendário, um PDF, uma lista simples) são lidos localmente e nunca enviados. Prints são lidos com o reconhecimento de texto da Apple no próprio aparelho; a imagem não vai para lugar nenhum e não é guardada pelo app.

Se você pedir à Candelina para salvar um aniversário nos seus Contatos, ela grava só a data, só no contato que você escolheu e só quando você toca no botão.

Rascunhos com IA

Escrever uma mensagem é opcional e funciona em três níveis. Os textos prontos que já vêm no app funcionam offline e não enviam nada. Nos iPhones mais novos, o modelo da Apple no próprio aparelho escreve rascunhos sem nenhuma requisição de rede. Para os demais idiomas e aparelhos, os rascunhos são escritos pelo Claude, um modelo da Anthropic, através do nosso próprio servidor.

O nível na nuvem fica desligado até você autorizar numa tela que cita a Anthropic explicitamente, e dá para desligar de novo a qualquer momento nos ajustes. Não existe conta nem identificador da pessoa para quem você está escrevendo: a requisição leva as palavras necessárias para escrever a mensagem e nada que ligue duas requisições ao mesmo amigo. Por inteiro, uma requisição contém:

• O primeiro nome de quem vai receber (ou o apelido que você deu).
• A etiqueta de relação, como família ou trabalho.
• O gênero da pessoa, usado só para acertar a gramática, e a idade que ela faz.
• O tom e o idioma que você escolheu, e se é um aniversário redondo.
• A nota de uma linha que você digitou ou ditou, se houver.
• O texto que você mandou no ano passado, para o modelo não repetir.
• Seu próprio nome, se você usa como assinatura.
• O ano atual, e se você está correndo atrás de um aniversário que já passou.

Sua lista de contatos, telefones, fotos e o resto das suas pessoas nunca são enviados. Pelos termos da API comercial da Anthropic, os dados enviados pela API não são usados para treinar os modelos deles. Nosso servidor não guarda o texto das requisições nem dos rascunhos; ele mantém só um contador mensal ligado a um token de aparelho pseudônimo, para que a cota gratuita funcione. O ditado usa o reconhecimento de fala da Apple, no próprio aparelho quando o seu iPhone permite.

O link coletor

Você pode compartilhar um link que pergunta aos amigos a data de aniversário deles. Quando alguém abre e envia o formulário, o nome e a data ficam pouco tempo no nosso servidor para o seu app buscar, e são apagados depois da entrega ou quando o link expira. A página avisa isso antes do envio. Só você recebe o que mandam. Dá para redefinir o link quando quiser, e o antigo para de funcionar.

Análises e diagnóstico

A Candelina usa o TelemetryDeck, um serviço de análise focado em privacidade e sediado na Alemanha, para entender como o app é usado — nunca quem está nele. Cada evento é um nome com alguns detalhes curtos: uma etapa das boas-vindas concluída, se as notificações foram permitidas, uma importação concluída e quantos aniversários ela encontrou, lembretes reagendados, uma mensagem marcada como enviada, um cartão compartilhado ou salvo, uma exportação feita, qual tela de assinatura ou recurso bloqueado apareceu, o início de um teste ou de uma compra e de qual produto, a origem, o tom e o idioma de um rascunho, e o idioma do app.

Nomes, aniversários, anotações, contatos, números de telefone, o texto das suas mensagens e qualquer coisa que identifique as pessoas da sua lista nunca são enviados. O app não envia nenhum identificador de aparelho ou de usuário; o TelemetryDeck calcula o próprio identificador pseudônimo a partir de um hash com sal no seu aparelho. Esses dados não são ligados à sua identidade e nunca são vendidos nem repassados a corretores de dados. Hoje não existe um ajuste no app para desligar isso, mas você sempre pode escrever pra gente sobre esses dados. Os relatórios de falha vêm do próprio sistema da Apple e só se você tiver escolhido compartilhá-los com desenvolvedores nos ajustes do iPhone.

A Candelina não usa o Identificador de Publicidade e nunca mostra o aviso do App Tracking Transparency, porque não rastreia você em apps e sites de outras empresas.

Compras

As assinaturas e a compra vitalícia são processadas pela Apple e a gente nunca vê seus dados de pagamento. Se você tem a Unlimited é verificado no seu aparelho com o recibo assinado da própria Apple — não há nenhum serviço de assinatura de terceiros no meio. Quando você usa os rascunhos na nuvem, essa prova de compra assinada vai junto com a solicitação, para que o nosso servidor saiba que deve tirar o limite mensal. Ela comprova uma compra, não uma identidade, e não é armazenada.

Quem processa dados para a gente

Usamos poucos fornecedores, cada um com uma função bem definida:

• Apple — compras e assinaturas na App Store, sincronização do iCloud, notificações push, verificação de aparelho App Attest.
• Cloudflare — nosso servidor proxy de IA, este site e o encaminhamento de e-mail do endereço de suporte.
• Upstash — os contadores que aplicam a cota mensal gratuita de rascunhos com IA.
• Anthropic — a escrita dos rascunhos com IA, só depois da sua autorização.
• TelemetryDeck — análises de uso focadas em privacidade: como o app é usado, nunca as pessoas que estão nele.

Por quanto tempo as coisas ficam guardadas

• No seu iPhone e no seu iCloud, quando você está conectado: até você apagar.
• Requisições de rascunho com IA: não são guardadas. Só um contador mensal por aparelho, zerado todo mês.
• Envios do coletor: apagados assim que chegam no seu app e, de todo jeito, quando o link expira.
• Análises: eventos de uso com um identificador pseudônimo, nunca as suas pessoas. O TelemetryDeck guarda esses dados segundo as próprias regras; a gente só vê estatísticas de uso agregadas.

Seus direitos

Como a Candelina guarda a sua lista no seu próprio aparelho, você controla tudo diretamente: dá para editar, exportar ou apagar tudo de dentro do app quando quiser. A exportação entrega uma cópia dos seus dados em CSV ou JSON.

Do que fica do nosso lado — o contador da cota de IA e os envios do coletor ainda a caminho — você pode pedir a exclusão, e o app também oferece um apagamento com um toque nos ajustes. Se você estiver na União Europeia ou no Reino Unido, tem direito de acessar, corrigir, apagar e portar seus dados, e de reclamar à autoridade local de proteção de dados. Escreva para o endereço abaixo e a gente responde em até 30 dias, normalmente bem antes.

Crianças

A Candelina não é direcionada a crianças e não coleta dados delas de forma consciente.

Mudanças

Se esta política mudar em algo que importa, a gente avisa no app antes de a mudança entrar em vigor. A data no topo sempre mostra a versão atual.

Contato

Dúvidas, pedidos ou algo que parece errado — escreva para privacy@candelina.app e uma pessoa vai responder.